Tirar documentos con datos personales: qué riesgo hay

Qué dice la normativa

El artículo 32 del RGPD obliga a aplicar medidas técnicas y organizativas adecuadas para proteger los datos personales. Dejar documentos accesibles a terceros, también en un contenedor, puede ser una brecha de seguridad.

Casos resueltos por la AEPD

PS/00464/2020: una empresa de almacenaje y transporte abandonó junto a un contenedor documentación con nombres, DNI y teléfonos de clientes y transportistas, tras dejar la nave que tenía alquilada. La Policía Foral de Navarra lo denunció. La AEPD apreció una infracción del artículo 32.1 del RGPD y la multó con 3.000 euros, según recoge Economist & Jurist.
PS/00354/2020: un abogado tiró a la basura documentación con datos de sus clientes y recibió un apercibimiento, según la misma fuente.
Madrid, 2012: según informó Voz Pópuli, la Policía Municipal encontró en un contenedor expedientes de ayudas de un ministerio. La AEPD declaró una infracción grave; al tratarse de una administración pública, no hubo sanción económica.

Qué tiene en cuenta la AEPD

En el caso de la empresa de transporte, la AEPD valoró como agravantes el número de personas afectadas, la falta de medidas para evitar incidentes parecidos y la falta de cooperación. Como atenuante, el alcance local del tratamiento y el tamaño pequeño de la empresa.

Cómo evitarlo

Define qué documentos se destruyen y cuándo, siguiendo los plazos de conservación.
Usa una trituradora adecuada o un contenedor de seguridad con recogida periódica.
Si cierras una oficina o te mudas, destruye el archivo antes de dejar el local.
Pide un certificado de destrucción y guárdalo.

Preguntas frecuentes

No existe una prohibición literal, pero si los datos quedan al alcance de terceros se puede considerar una brecha de seguridad, y la AEPD ha sancionado casos así.

Depende de cada caso. En el caso PS/00464/2020 la multa fue de 3.000 euros, y en otros se ha resuelto con apercibimiento. El importe se valora según la gravedad y las circunstancias.

Valora con tu delegado de protección de datos o un asesor si hay que notificar una brecha de seguridad a la AEPD, y refuerza el procedimiento de destrucción.